El actor de amenazas detrás del esquema utiliza la dirección de correo electrónico theknewone.com@gmail[.]com para publicar ambas variantes de la extensión, que funcionan de forma idéntica a pesar de tener apariencias diferentes. Las víctimas desconocen que están ejecutando software malicioso que monitorea toda su actividad en línea y envía continuamente sus credenciales a servidores controlados por el atacante. Las extensiones se comercializan como “plugins de prueba de velocidad de red multilocación” diseñados para desarrolladores y trabajadores del comercio chino. Los usuarios compran suscripciones que oscilan entre 9,9 y 95,9 yuanes (aproximadamente de 1,40 a 13,50 USD) a través de métodos de pago legítimos, incluidos Alipay y WeChat Pay. 

 Reciben servicios proxy funcionales que parecen funcionar según lo anunciado, realizando pruebas de latencia reales y mostrando el estado de la conexión. Esta fachada comercial crea una falsa sensación de seguridad mientras oculta una actividad maliciosa devastadora que ocurre en segundo plano. Los analistas de Socket.dev identificaron que las extensiones ejecutan una interceptación completa del tráfico a través de un sofisticado mecanismo de inyección de credenciales. Las extensiones interceptan automáticamente cada solicitud de autenticación HTTP en todos los sitios web e inyectan credenciales proxy codificadas (nombre de usuario: topfany, contraseña: 963852wei) sin el conocimiento del usuario. Esto permite a los atacantes redirigir todo el tráfico de navegación a través de sus propios servidores proxy, creando efectivamente un ataque de tipo “man-in-the-middle”.

 

El Mecanismo de Secuestro de Autenticación

El código malicioso está oculto dentro de bibliotecas JavaScript modificadas incluidas con la extensión, específicamente jquery-1.12.2.min.js y scripts.js. Los investigadores descubrieron que las extensiones emplean un esquema de codificación de índice de caracteres personalizado para ofuscar las credenciales proxy codificadas, lo que dificulta su detección durante el análisis de seguridad. El código registra un detector en chrome.webRequest.onAuthRequired, que intercepta los desafíos de autenticación antes de que los usuarios vean cualquier aviso. Cuando se activa, el detector responde automáticamente con las credenciales codificadas utilizando el modo asyncBlocking, asegurando que la respuesta ocurra de forma sincrónica sin dar a los usuarios ninguna oportunidad de intervenir. La extensión mantiene un latido cardíaco de 60 segundos al servidor C2 en phantomshuttle.space, extrayendo continuamente los datos del usuario. Durante cada transmisión de latido cardíaco y verificación del estado VIP, la extensión envía las direcciones de correo electrónico y las contraseñas de los usuarios en texto plano a la infraestructura del atacante, lo que ocurre cada cinco minutos para los usuarios activos. La extensión permanece operativa a partir del 23 de diciembre de 2025, y Socket.dev ha enviado solicitudes de eliminación a el equipo de seguridad de la Chrome Web Store de Google. Si has instalado estas extensiones, debes desinstalarlas inmediatamente y cambiar todas las contraseñas que uses en tu navegador.

Fuentes:
https://cybersecuritynews.com/malicious-chrome-extensions-as-vpn/